Datenschutzerklärung für Microsoft Teams

Warum ist Microsoft Teams datenschutzrechtlich relevant?

Microsoft Teams speichert unter anderem

• den Unternehmensnamen,
• die Unternehmensanschrift,
• die E-Mail-Adresse und
• die Telefonnummer.

Darüber hinaus erfasst die Anwendung gespeicherte Dateien, Unterhaltungsverläufe und die im Planner hinterlegten Informationen. Halten Unternehmen Besprechungen mit Microsoft Teams ab, speichert die Software zum Beispiel die IP-Adressen der Teilnehmer. Bei diesen Daten handelt es sich zum Teil um personenbezogene Daten.

Microsoft selbst gibt an, die erhobenen Daten nicht für Werbezwecke zu verwenden. Und: Die Anwendung tracke nicht die Aktivitäten der Teilnehmer in den Meetings. Dennoch warnen Datenschutzexperten davor, dass die Gratis-Version Userdaten an die Werbenetzwerke von Adobe und Google verschicke. Unternehmen müssen daher besondere Datenschutzpflichten erfüllen.

Können Unternehmen Microsoft Teams datenschutzkonform verwenden?

Ob Unternehmen Microsoft Teams derzeit DSGVO-konform verwenden können, ist unklar. Sie sollten aber in jedem Fall diese Pflichten erfüllen:

Nutzer-Einwilligung in Cookies einholen

Microsoft erfasst über Teams Userdaten, indem es einen Cookie in den Browser von Nutzern setzt. Dabei ist nicht klar, welche Daten Microsoft mit dem Cookie sammelt. Unternehmen sollten daher sichergehen und die Erlaubnis der Nutzer in den Einsatz der Cookies einholen. Dafür können sie ein Cookie Consent Tool nutzen. Dies fragt die Datenpräferenzen von Usern ab und passt dementsprechend die Datenströme auf der Webseite an.

Vertrag zur Auftragsverarbeitung abschließen

Damit Unternehmen die über Teams erhobenen Daten mit rechtlicher Grundlage an Microsoft weitergeben und weisungsgebunden verarbeiten lassen, müssen sie einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) mit dem Konzern abschließen. Das gibt Art. 28 DSGVO vor. Unternehmen nehmen das automatisch vor, wenn sie Microsofts Online Services Terms (AGB) akzeptieren. Sie müssen daher nicht zusätzlich einen Vertrag abschließen. Sie sollten jedoch überprüfen, ob der Anbieter in seinen AGB aufführt,

• welche Daten er speichert,
• wie lange der die Daten speichern will,
• warum er die Daten speichert und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Unternehmen, die Microsoft Teams auch für die Kommunikation mit Dritten wie Kunden nutzen, sollten das in ihrer Datenschutzerklärung aufführen. Dabei sollten sie angeben,

• welche Nutzerdaten sie speichern,
• wie lange sie diese speichern,
• welche Rechtsgrundlage das ermöglicht (Art. 6 Abs. 1 lit. a DSGVO),
• dass sie für die Datenweitergaben mit Microsoft einen AV-Vertrag geschlossen haben und
• dass User der Datenspeicherung jederzeit widersprechen können.

Mit erhobenen Daten datenschutzkonform umgehen

Unternehmen, die Daten aus einer Besprechung oder einem Chat speichern, sollten diese nur dann aufbewahren, wenn das

• einem erlaubten Zweck dient,
• geeignet ist, diesen Zweck zu erfüllen und
• erforderlich ist, diesen Zweck zu erreichen.

Das heißt: Unternehmen können beispielsweise eine Besprechung über Microsoft Teams aufzeichnen, wenn sie konkrete Details des gesamten Meetings danach benötigen. Brauchen sie jedoch nur einige wenige Informationen, können Unternehmen diese während der Besprechung per Notiz festhalten. Eine Aufzeichnung ist dann nicht notwendig. Haben Unternehmen einmal Daten gespeichert, dürfen sie diese nur so lange speichern, bis sie den angestrebten Zweck erfüllt haben.

Standardvertragsklauseln

Microsoft speichert seine Daten auf Servern in den USA. Unternehmen dürfen Nutzerdaten jedoch nur an ein Drittland außerhalb der EU weitergeben, wenn sie dafür über eine rechtliche Grundlage verfügen. Derzeit existiert diese in Form von Standardvertragsklauseln. Microsoft bietet seinen Kunden diese an. Unternehmen sollten die Klauseln abschließen.

Zusätzlich ist eine Risikoabschätzung notwendig. Das bedeutet: Unternehmen müssen prüfen und dokumentieren,

• welche Daten sie an Microsoft in den USA übermitteln,
• welche Datenschutzvorgaben in den USA gelten und
• ob Microsoft für Teams Datenschutzmechanismen integriert hat.

Rechtsprechung zu Microsoft Teams

Für Microsoft Teams ist diese Rechtsprechung relevant:

Europäischer Gerichtshof zur Verwendung von Cookies

Der Europäische Gerichtshof (EuGH) entschied im Oktober 2019, dass Seitenbetreiber stets die Erlaubnis von Usern benötigen, wenn sie Tracking Cookies einsetzen wollen. Dabei spielt es keine Rolle, ob die Cookies personenbezogene Daten sammeln oder nicht (Az. C-673/17).

Bundesgerichtshof zur Verwendung von Cookies

Der Bundesgerichtshof (BGH) kam im Mai 2020 zu einem ähnlichen Urteil wie der EuGH: Seitenbetreiber benötigen das Einverständnis der Nutzer, wenn sie Tracking Cookies verwenden wollen. Dabei müssen User die Einwilligung aktiv erteilen können. Das heißt für die Praxis: Das Kästchen für die Erlaubnis darf nicht vormarkiert sein (I ZR 7/16).

Datenschutzbehörde Hamburg zum AV-Vertrag

Arbeiten Unternehmen mit Dienstleistern zusammen, um Daten weisungsgebunden verarbeiten zu lassen, müssen sie mit diesen einen AV-Vertrag schließen. Das versäumte ein deutsches Versandunternehmen, als es einen spanischen Postdienstleister engagiert hatte. Die Datenschutzbehörde Hamburg sprach daher am 17.12.2018 ein Bußgeld in Höhe von 5.000 Euro gegen das deutsche Unternehmen aus.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der Fußball-Bundesligaclub VfB Stuttgart verpasste es, mit Dienstleistern einen AV-Vertrag zu schließen. Die Dienstleister hatten zwischen 2016 und 2018 weisungsgebunden mehrere tausend Mitgliederdaten des Vereins verarbeitet. Das wertete die Datenschutzbehörde Baden-Württemberg als Verstoß gegen die DSGVO. Sie sprach daher im März 2021 eine Strafe in Höhe von 300.000 Euro gegen den Club aus.

Aktuelles zu Microsoft Teams

In Baden-Württemberg nutzen nach wie vor 40 Schulen Microsoft 365 inklusive Microsoft Teams. Das will der Landesdatenschutzbeauftragte des Bundeslandes Stefan Brink ändern. Er will auf die Schulen zugehen und sie beraten, welche Alternativen für Microsoft Teams und die gesamte Suite infrage kommen. Bis zu den Sommerferien 2022 sollen die Schulen dann eine Alternative gefunden haben. Schulen, die danach weiter auf Microsoft 365 setzen wollen, müssen nachweisen, dass sie die Anwendung datenschutzkonform verwenden.